Modelo de acceso de EnterpriseEnterprise access model

En este documento se describe un modelo de acceso empresarial general que incluye el contexto de cómo se adapta una estrategia de acceso con privilegios.This document describes an overall enterprise access model that includes context of how a privileged access strategy fits in. Para obtener un plan de desarrollo sobre cómo adoptar una estrategia de acceso con privilegios, consulte el plan de modernización rápida (RaMP).For a roadmap on how to adopt a privileged access strategy, see the rapid modernization plan (RaMP). Para obtener instrucciones para implementarlo, consulte implementación del acceso con privilegios.For implementation guidance to deploy this, see privileged access deployment

La estrategia de acceso con privilegios forma parte de una estrategia general de control de acceso empresarial.Privileged access strategy is part of an overall enterprise access control strategy. Este modelo de acceso empresarial muestra cómo se adapta el acceso con privilegios en un modelo de acceso empresarial general.This enterprise access model shows how privileged access fits into an overall enterprise access model.

Los principales almacenes de valor empresarial que una organización debe proteger se encuentran en el plano de datos/carga de trabajo:The primary stores of business value that an organization must protect are in the Data/Workload plane:

Plano de datos/carga de trabajo

Las aplicaciones y los datos suelen almacenar un gran porcentaje de los siguientes elementos de una organización:The applications and data typically store a large percentage of an organization's:

  • Procesos empresariales en aplicaciones y cargas de trabajoBusiness processes in applications and workloads
  • Propiedad intelectual en datos y aplicacionesIntellectual property in data and applications

La organización de TI empresarial administra y da soporte técnico a las cargas de trabajo y la infraestructura en la que se hospeda, ya sea local, en Azure o en un proveedor de nube de terceros, lo que crea un plano de administración.The enterprise IT organization manages and supports the workloads and the infrastructure they are hosted on, whether it's on-premises, on Azure, or a third-party cloud provider, creating a management plane. Proporcionar un control de acceso coherente a estos sistemas en toda la empresa requiere un plano de control basado en sistemas de identidad empresarial centralizados, que a menudo se complementan con el control de acceso de red para sistemas antiguos, como los dispositivos de tecnología operativa (OT).Providing consistent access control to these systems across the enterprise requires a control plane based on centralized enterprise identity system(s), often supplemented by network access control for older systems like operational technology (OT) devices.

Planos de datos/carga de trabajo, control y administración

Cada uno de estos planos tiene el control de los datos y las cargas de trabajo en virtud de sus funciones, lo que crea una ruta tentadora para que los atacantes las aprovechen si pueden obtener el control de cualquiera de los planos.Each of these planes has control of the data and workloads by virtue of their functions, creating an attractive pathway for attackers to abuse if they can gain control of either plane.

Para que estos sistemas generen valor empresarial, deben ser accesibles para los usuarios internos, los asociados y los clientes que usan sus estaciones de trabajo o dispositivos (a menudo mediante soluciones de acceso remoto), lo que creará rutas de acceso de usuario.For these systems to create business value, they must be accessible to internal users, partners, and customers using their workstations or devices (often using remote access solutions) - creating user access pathways. Con frecuencia, también deben estar disponibles mediante programación a través de interfaces de programación de aplicaciones (API) para facilitar la automatización de procesos, lo que creará rutas de acceso a las aplicaciones.They must also frequently be available programmatically via application programming interfaces (APIs) to facilitate process automation, creating application access pathways.

Incorporación de rutas de acceso de usuario y aplicaciones

Por último, el personal de TI, los desarrolladores u otros usuarios de las organizaciones deben administrar y mantener estos sistemas, lo que creará rutas de acceso con privilegios.Finally, these systems must be managed and maintained by IT staff, developers, or others in the organizations, creating privileged access pathways. Debido al alto nivel de control que proporcionan sobre los recursos críticos para la empresa en la organización, estas rutas deben protegerse estrictamente contra los riesgos.Because of the high level of control they provide over business critical assets in the organization, these pathways must be stringently protected against compromise.

Ruta de acceso con privilegios que deben administrarse y mantenerse

Para proporcionar un control de acceso coherente en la organización que garantice la productividad y mitigue el riesgo, es necesario lo siguienteProviding consistent access control in the organization that enables productivity and mitigates risk requires you to

  • Aplicación de principios de Confianza cero en todo el accesoEnforce Zero Trust principles on all access
    • Suposición de la vulneración de otros componentesAssume Breach of other components
    • Validación explícita de la confianzaExplicit validation of trust
    • Acceso con privilegios mínimosLeast privilege access
  • Cumplimiento generalizado de directivas y seguridad enPervasive security and policy enforcement across
    • Acceso interno y externo, para garantizar una aplicación de directivas coherenteInternal and external access to ensure consistent policy application
    • Todos los métodos de acceso, incluidos los usuarios, administradores, API, cuentas de servicio, etc.All access methods including users, admins, APIs, service accounts, etc.
  • Mitigación de la elevación de privilegios sin autorizaciónMitigate unauthorized privilege escalation
    • Aplicación de la jerarquía para evitar el control de planos superiores desde planos inferiores (a través de ataques o aprovechamiento de procesos legítimos)Enforce hierarchy – to prevent control of higher planes from lower planes (via attacks or abuse of legitimate processes)
      • Plano de controlControl plane
      • Plano de administraciónManagement plane
      • Plano de datos/carga de trabajoData/workload plane
    • Auditoría continua de las vulnerabilidades de configuración que permiten la escalación involuntariaContinuously audit for configuration vulnerabilities enabling inadvertent escalation
    • Supervisión y respuesta a anomalías que podrían representar posibles ataquesMonitor and respond to anomalies that could represent potential attacks

Evolución a partir del modelo de niveles de AD heredadoEvolution from the legacy AD tier model

El modelo de acceso empresarial reemplaza el modelo de nivel heredado que se centraba en contener la escalación no autorizada de privilegios en un entorno de Windows Server Active Directory local.The enterprise access model supersedes and replaces the legacy tier model that was focused on containing unauthorized escalation of privilege in an on-premises Windows Server Active Directory environment.

Modelo de nivel de AD heredado

El modelo de acceso empresarial incorpora estos elementos, así como los requisitos de administración de acceso completo de una empresa moderna que abarca el entorno local, varias nubes, el acceso de usuarios internos o externos, etc.The enterprise access model incorporates these elements as well as full access management requirements of a modern enterprise that spans on-premises, multiple clouds, internal or external user access, and more.

Modelo de acceso empresarial completo desde niveles antiguos

Expansión del ámbito de nivel 0Tier 0 scope expansion

El nivel 0 se expande para convertirse en el plano de control y se encarga de todos los aspectos del control de acceso, incluidas las redes donde es la única o la mejor opción de control de acceso, como las opciones de OT heredadas.Tier 0 expands to become the control plane and addresses all aspects of access control, including networking where it is the only/best access control option, such as legacy OT options

Divisiones del nivel 1Tier 1 splits

Para aumentar la claridad y la capacidad de acción, lo que antes era el nivel 1 ahora se divide en las áreas siguientes:To increase clarity and actionability, what was tier 1 is now split into the following areas:

  • Plano de administración: para las funciones de administración de TI de toda la empresa.Management plane – for enterprise-wide IT management functions
  • Plano de datos/carga de trabajo: para la administración por carga de trabajo, que unas veces realiza el personal de TI y, otras, las unidades de negocio.Data/Workload plane – for per-workload management, which is sometimes performed by IT personnel and sometimes by business units

Esta división garantiza la concentración para proteger los sistemas críticos para la empresa y los roles administrativos que tienen un alto valor empresarial intrínseco, pero un control técnico limitado.This split ensures focus for protecting business critical systems and administrative roles that have high intrinsic business value, but limited technical control. Además, esta división se adapta mejor a los desarrolladores y modelos de DevOps, frente a centrarse demasiado en los roles de infraestructura clásicos.Additionally, this split better accommodates developers and DevOps models vs. focusing too heavily on classic infrastructure roles.

Divisiones del nivel 2Tier 2 splits

Para garantizar la cobertura del acceso a la aplicación y los distintos modelos de asociado y cliente, el nivel 2 se dividió en las áreas siguientes:To ensure coverage for application access and the various partner and customer models, Tier 2 was split into the following areas:

  • Acceso de usuario: que incluye todos los escenarios de acceso B2B, B2C y público.User access – which includes all B2B, B2C, and public access scenarios
  • Acceso a aplicaciones: para dar cabida a las rutas de acceso de API y a la superficie de ataque resultante.App access – to accommodate API access pathways and resulting attack surface

Pasos siguientesNext steps